频道栏目
首页 > 资讯 > 系统安全 > 正文

门罗币XMR挖矿恶意软件正在利用希捷NAS设备进行传播

16-10-11        来源:[db:作者]  
收藏   我要投稿

近日,Sophos专家发现了一种门罗币(Monero)XMR挖矿恶意程序Mal/Miner-C,Sophos称,2016年上半年已探测到超过170万的设备感染Mal/Miner-C恶意软件。

 

 

关于门罗币(XMR)

XMR是一种使用CryptoNote协议的虚拟币币种,并不是比特币的一个分支。CryptoNote 在2012年已经开发出来,当年已有Bytecoin使用CrytoNote技术,XMR是在2014年开发出来,可以预见CryptoNote技术已经非常成熟,该技术通过数字环签名提供更好的匿名性。这一条件满足了暗网中的犯罪分子对匿名性更高的要求。

2016年8月底,全球最大的在线毒品交易市场AlphaBay在Reddit上宣称,自9月1日起,平台将支持一种超级匿名的加密货币Monero。

Monero词语是引自于世界语,在世界语中的含义表示为货币,诞生于2014年4月。Monero没有使用比特币的代码,而是基于CryptoNote协议。如上所述,这一协议最早由Nicolas van Saberhagen在2012年公布。

Monero与比特币有一些共同特征,比如挖矿和区块链都是核心机制,但它有几个重大改进,能帮助用户在线保持匿名。

比特币用户通常使用单一的钱包地址,所有交易都会与它相关,对所有人可见。相比之下,Monero给每一笔交易都创建唯一地址,并生成私密的viewkey(读取密匙),仅接收者及得到密匙的人能看到完整交易信息。理论上,政府不可能窥探到任何信息。Monero还会自动将一笔交易与其它同类规模的交易混淆(mix coins),这又加了一层保护,让人无法从区块链中追踪。

 

 

Mal / Miner-C恶意软件通过FTP服务器扩散感染

安全公司Sophos的恶意软件研究人员发现并分析了一款新型的恶意软件Mal/Miner-C,旨在从受感染的设备中挖掘门罗币(XMR)。

专家还发现,新型恶意软件Mal/Miner-C正在利用希捷网络附加存储sh(network-attached storage),也就是NAS作为攻击向量。

但是,最有趣的特征还是 Mal/Miner-C 恶意软件通过FTP服务器来扩散自己。

研究者分析样本中包括一个称为tftp.exe,的模块,它能随机产生IP地址,并尝试利用预定义的登录凭证列表连接到IP地址中。

如果该恶意软件能够成功连接到FTP服务器中,它就会将自身复制到服务器中,并通过引用上传到服务器的恶意代码,注入代码会生成一个iframe框架,从而修改服务器内的html文件和php文件。

Sophos分析报告表示:

“如果嵌入式凭据能够成功连接到一个FTP服务器,它就会试图将它自己复制到服务器中,并修改现有的扩展名为.htm或.php的Web相关文件,企图进一步感染主机的访问者。如果找到带有上述扩展名的文件,恶意软件将注入源代码,创建一个iframe,引用文件名为info.zip 或 Photo.scr. ”。

当未知用户访问被感染网站时,他将看到弹出一个“保存文件”的对话框,一旦受害者顺势下载并打开其中的恶意软件,他们的PC机便会感染Mal / Miner-C恶意软件。

从上面的过程可以看到,Mal/Miner-C并未采用自动感染机制,而是需要用户手动执行恶意程序。因此,它通过从被攻击网站以及开放服务器上的下载来传播。

Mal/Miner-C恶意程序感染情况

Sophos数据显示,2016年上半年已经探测到了超过170万的设备感染Mal/Miner-C恶意软件,在受感染的系统中,大多数是在多个目录下运行该恶意软件多个副本的FTP服务器。

专家们将调查重点放在寻找易受感染的设备上,他们使用了一款名为Censys的搜索引擎来扫描全球300万台FTP服务器。

随后研究人员尝试使用扫描脚本匿名连接到FTP服务器中,试图找到存在“ 写入权限的匿名FTP。

统计结果如下:

原始列表中的FTP服务器IP总数:2,932,833;

测试期间活跃的FTP服务器数:2,137,571;

允许匿名远程访问的活跃服务器数:207,110;

激活写入权限的活跃服务器数:7,263;

存在Mal/Miner-C恶意软件的服务器数:5,137;

 

 

Mal/Miner-C恶意程序更易感染希捷Central NAS设备

Sophos专家还注意到,这类FTP服务器大多都运行在希捷Central NAS设备上。这种特殊的NAS设备可以提供一个不能删除或无法禁用的公共文件夹来共享数据,攻击者将恶意软件上传至文件夹中,在用户发现文件夹的第一时间运行恶意软件。此外,如果设备的管理员启用了通向设备的远程连接,这台设备就允许任何人从互联网接入。

专家还对此次网络犯罪活动背后的收益进行分析,确定此次通过受感染的设备进行开采门罗币所带来的收益大约有86000美元。

相关TAG标签
上一篇:深度学习模型之CNN卷积神经网络(1)
下一篇:漏洞预警:JPEG 2000某漏洞可执行任意代码
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站